283 lines
13 KiB
PowerShell
283 lines
13 KiB
PowerShell
# Скачиваем софт по ссылкам ниже
|
||
# https://es.ukrtb.ru/nextcloud/s/xwBAsTqWqT8QyBT/download/OpenSSL.msi
|
||
# https://es.ukrtb.ru/nextcloud/s/PoxqfCWkXtrdgw7/download/putty.msi
|
||
# https://es.ukrtb.ru/nextcloud/s/ybKx8rpJX8fbZtS/download/WinSCP.exe
|
||
|
||
# Делаем ручное подключение (Астра)
|
||
# plink iwtm@192.168.1.10 -pw xxXX1234
|
||
|
||
# Запускаем скрипт
|
||
# Set-ExecutionPolicy Unrestricted -force; cd ~\Desktop\; .\tm-ssl.ps1
|
||
|
||
# Павершелл следует запускать от имени администратора
|
||
Write-Host "`nПроверка привелегий администратора:"
|
||
if (-NOT ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole(`
|
||
[Security.Principal.WindowsBuiltInRole] "Administrator")) {
|
||
Write-Warning "Запустите павершелл от имени администратора.`n"
|
||
Break
|
||
}
|
||
else {
|
||
Write-Host "Скрипт запущен от имени администратора.`n" -ForegroundColor Green
|
||
}
|
||
|
||
# Остановка скрипта при ошибке
|
||
$ErrorActionPreference = "Stop"
|
||
|
||
# Указываем пути
|
||
$path = "C:\Program Files\OpenSSL-Win64\bin"
|
||
$hpath = "$(pwd)\tm-ssl"
|
||
$wpath = "C:\Program Files (x86)\WinSCP"
|
||
$lpath = "$hpath\linux"
|
||
$cpath = "$hpath\certs"
|
||
$dpath = "tmp"
|
||
|
||
# Названия сертификатов
|
||
$root = "root"
|
||
$intermediate = "intermediate"
|
||
$server = "iwtm"
|
||
$client = "arm"
|
||
|
||
# Данные для линупса
|
||
$cnf = "iw"
|
||
if (!($ip = Read-Host "Введите IP IWTM [192.168.1.10]")) { $ip = "192.168.1.10" }
|
||
if (!($luser = Read-Host "Введите пользователя IWTM [iwtm]")) { $luser = "iwtm" }
|
||
if (!($lpassword = Read-Host "Введите пароль IWTM [xxXX1234]")) { $lpassword = "xxXX1234" }
|
||
|
||
# Промежуточный = серверный
|
||
if (!($servint = Read-Host "`nСделать серверный сертификат промежуточным [y]")) { $servint = "y" }
|
||
if ($servint -eq "y"){
|
||
$intermediate = $server
|
||
}
|
||
|
||
# Данные для сертификата
|
||
if (!($country = Read-Host "`nВведите страну [RU]")) { $country = "RU" }
|
||
if (!($state = Read-Host "Введите штат [RB]")) { $state = "RB" }
|
||
if (!($city = Read-Host "Введите город [Ufa]")) { $city = "Ufa" }
|
||
if (!($corp = Read-Host "Введите организацию [UKRTB]")) { $corp = "UKRTB" }
|
||
if (!($unit = Read-Host "Введите отдел [IT]")) { $unit = "IT" }
|
||
if (!($hostname = Read-Host "Введите хостнейм [iwtm]")) { $hostname = "iwtm" }
|
||
if (!($domain = Read-Host "Введите домен [demo.lab]")) { $domain = "demo.lab" }
|
||
if (!($password = Read-Host "Введите пароль .p12 [xxXX1234]")) { $password = "xxXX1234" }
|
||
$site = "$hostname.$domain"
|
||
|
||
# Конфиг опенссл
|
||
$config = "
|
||
[ ca ]
|
||
default_ca = CA_default
|
||
[ CA_default ]
|
||
certs = ./
|
||
serial = serial
|
||
database = index
|
||
new_certs_dir = ./
|
||
certificate = $root.crt
|
||
private_key = $root.key
|
||
default_days = 36500
|
||
default_md = sha256
|
||
preserve = no
|
||
email_in_dn = no
|
||
nameopt = default_ca
|
||
certopt = default_ca
|
||
policy = policy_match
|
||
[ policy_match ]
|
||
commonName = supplied
|
||
countryName = optional
|
||
stateOrProvinceName = optional
|
||
organizationName = optional
|
||
organizationalUnitName = optional
|
||
emailAddress = optional
|
||
[ req ]
|
||
input_password = $password
|
||
prompt = no
|
||
distinguished_name = default
|
||
default_bits = 2048
|
||
default_keyfile = priv.pem
|
||
default_md = sha256
|
||
req_extensions = v3_req
|
||
encyrpt_key = no
|
||
x509_extensions = v3_ca
|
||
[ default ]
|
||
commonName = default
|
||
[ v3_ca ]
|
||
subjectKeyIdentifier=hash
|
||
authorityKeyIdentifier=keyid:always,issuer
|
||
basicConstraints = critical,CA:true
|
||
[ v3_intermediate_ca ]
|
||
subjectKeyIdentifier = hash
|
||
authorityKeyIdentifier = keyid:always,issuer
|
||
basicConstraints = critical, CA:true, pathlen:0
|
||
keyUsage = critical, digitalSignature, cRLSign, keyCertSign
|
||
subjectAltName = @alt_names
|
||
[ v3_req ]
|
||
basicConstraints = CA:FALSE
|
||
subjectKeyIdentifier = hash
|
||
subjectAltName = @alt_names
|
||
[ alt_names ]
|
||
DNS.1 = $site
|
||
IP.1 = $ip"
|
||
|
||
# Удаляем файлы, которые могли остаться от прошлого запуска скрипта
|
||
cd $path
|
||
Remove-Item * -Include *.sh,*.cnf,*.key,*.csr,*.crt,*.p12,*.pem,seria*,inde* -Force
|
||
|
||
if (Test-Path "$hpath") {
|
||
rm -r -fo "$hpath"
|
||
}
|
||
|
||
# Создаём файл с номером и индексом скрипта, конфиг опенссл и скрипт для линукса
|
||
out-file -append -encoding utf8 "index"
|
||
write-output "01" | out-file -append -encoding ASCII "serial"
|
||
write-output $config | out-file -append -encoding utf8 "$cnf.cnf"
|
||
|
||
# Продолжение скрипта при ошибке
|
||
$ErrorActionPreference = "Continue"
|
||
|
||
# Обработка ошибок
|
||
$TempFile = New-TemporaryFile
|
||
function Error-Break{
|
||
# Если в файлы нет Signature ok + MAC + он не пустой, то if выполняется
|
||
if ((!(Select-String -Path "$TempFile" -Pattern 'Signature ok') -and (!(Select-String -Path "$TempFile" -Pattern 'MAC'))) -xor ([String]::IsNullOrWhiteSpace((Get-content $TempFile)))){
|
||
# Вывод ошибок
|
||
$err = Get-Content -Path $TempFile
|
||
Write-Error "$err"
|
||
# break
|
||
break
|
||
}
|
||
}
|
||
|
||
# Имя сертификата
|
||
$name = $root
|
||
# Создаём корневой ключ
|
||
.\openssl genrsa -out "$root.key" 2> $TempFile; Error-Break
|
||
# Создаём корневой самоподписанный сертификат
|
||
.\openssl req -x509 -new -nodes -key "$root.key" -sha256 -days 1024 -out "$root.crt" -config "$cnf.cnf" -subj "/C=$country/ST=$state/L=$city/O=$corp/OU=$unit/CN=$name/emailAddress=$name@$domain" *> $TempFile; Error-Break
|
||
|
||
Write-Host "`nКорневой сертификат создан." -ForegroundColor Green
|
||
|
||
# Имя сертификата
|
||
$name = $intermediate
|
||
# Создаёи промежуточный ключ
|
||
.\openssl genrsa -out "$intermediate.key" *> $TempFile; Error-Break
|
||
# Создаём запрос на подпись
|
||
.\openssl req -new -sha256 -config "$cnf.cnf" -key "$intermediate.key" -out "$intermediate.csr" *> $TempFile; Error-Break
|
||
# Подписываем сертификат корневым
|
||
.\openssl ca -config "$cnf.cnf" -extensions v3_intermediate_ca -days 2650 -batch -in "$intermediate.csr" -out "$intermediate.crt" -subj "/C=$country/ST=$state/L=$city/O=$corp/OU=$unit/CN=$name/emailAddress=$name@$domain" *> $TempFile; Error-Break
|
||
|
||
# Промежуточный =/= серверный + создание серверного сертификата
|
||
if ($servint -ne "y"){
|
||
Write-Host "Промежуточный сертификат создан." -ForegroundColor Green
|
||
# Имя сертификата
|
||
$name = $server
|
||
# Создаём ключ клиента
|
||
.\openssl genrsa -out "$server.key" *> $TempFile; Error-Break
|
||
# Создаём запрос на подпись
|
||
.\openssl req -new -key "$server.key" -out "$server.csr" -config "$cnf.cnf" *> $TempFile; Error-Break
|
||
# Подписываем сертификат промежуточным
|
||
.\openssl x509 -req -in "$server.csr" -CA "$intermediate.crt" -CAkey "$intermediate.key" -CAcreateserial -sha256 -days 2650 -days 2650 -set_serial 01 -out "$server.crt" -extensions v3_req -extfile "$cnf.cnf" -subj "/C=$country/ST=$state/L=$city/O=$corp/OU=$unit/CN=$name/emailAddress=$name@$domain" *> $TempFile; Error-Break
|
||
}
|
||
|
||
Write-Host "Серверный сертификат создан." -ForegroundColor Green
|
||
|
||
# Создание клиентского сертификата
|
||
# Имя сертификата
|
||
$name = $client
|
||
# Создаём ключ клиента
|
||
.\openssl genrsa -out "$client.key" *> $TempFile; Error-Break
|
||
# Создаём запрос на подпись
|
||
.\openssl req -new -key "$client.key" -out "$client.csr" -config "$cnf.cnf" *> $TempFile; Error-Break
|
||
# Подписываем сертификат промежуточный
|
||
(.\openssl x509 -req -in "$client.csr" -CA "$intermediate.crt" -CAkey "$intermediate.key" -CAcreateserial -sha256 -days 2650 -out "$client.crt" -extensions v3_req -extfile "$cnf.cnf" -subj "/C=$country/ST=$state/L=$city/O=$corp/OU=$unit/CN=$name/emailAddress=$name@$domain") *> $TempFile; Error-Break
|
||
|
||
Write-Host "Клиентский сертификат создан." -ForegroundColor Green
|
||
|
||
# Остановка скрипта при ошибке
|
||
$ErrorActionPreference = "Stop"
|
||
|
||
$thumbprint = $(Get-PfxCertificate -FilePath "$client.crt" | select -expand Thumbprint).ToLower()
|
||
|
||
# Экспортируем промежуточный сертификат и ключ
|
||
.\openssl pkcs12 -export -in "$server.crt" -inkey "$server.key" -out "$server.p12" -password pass:"$password"
|
||
|
||
# Экспортируем для бравузера
|
||
.\openssl pkcs12 -export -in "$client.crt" -inkey "$client.key" -out "$client.p12" -password pass:"$password"
|
||
|
||
# Экспортируем всё
|
||
.\openssl pkcs12 -export -in "$server.crt" -inkey "$server.key" -in "$client.crt" -inkey "$client.key" -in "$root.crt" -inkey "$root.key" -out out.p12 -password pass:"$password"
|
||
|
||
&{
|
||
# Создаём директории для сертификатов и линупса
|
||
New-Item -path "$cpath" -ItemType Directory -force
|
||
New-Item -path "$lpath" -ItemType Directory -force
|
||
} >$null
|
||
|
||
Write-Host "`nДиректории созданы успешно." -ForegroundColor Green
|
||
|
||
$ssl_client_fingerprint = '$ssl_client_fingerprint'
|
||
# Скрипт для линукса
|
||
$linux = "#!/usr/bin/env bash
|
||
openssl pkcs12 -in /$dpath/$server.p12 -nokeys -out /opt/iw/tm5/etc/certification/$server.crt -password pass:$password
|
||
openssl pkcs12 -in /$dpath/$server.p12 -nocerts -nodes -out /opt/iw/tm5/etc/certification/$server.key -password pass:$password
|
||
rm /$dpath/$server.p12
|
||
cd /etc/nginx/conf.d
|
||
cp iwtm.conf -n iwtm.conf.bak || mv iwtm.conf.bak iwtm.conf
|
||
sed -i '9s/web-server.pem/$server.crt/' iwtm.conf
|
||
sed -i '10s/web-server.key/$server.key/' iwtm.conf
|
||
sed -i '12i ssl_verify_client optional_no_ca;' iwtm.conf
|
||
sed -i '21i if ( $ssl_client_fingerprint != $thumbprint ) { return 496; }' iwtm.conf
|
||
"
|
||
|
||
write-output $linux | out-file -append -encoding utf8 "$cnf.sh"
|
||
|
||
# Преобразуем скрипт для линукса в *nix формат
|
||
((Get-Content "$cnf.sh") -join "`n") + "`n" | Set-Content -NoNewline "$cnf.sh"
|
||
|
||
# Перемещаем скрипт для линукса и .p12
|
||
Move-Item -path ".\$cnf.sh" -destination "$lpath\$cnf.sh" -force
|
||
Move-Item -path ".\$server.p12" -destination "$lpath\$server.p12" -force
|
||
|
||
# Перемещаем остальное добро
|
||
Get-ChildItem -Path ".\*.pfx" -Recurse | Move-Item -Destination "$cpath" -force
|
||
Get-ChildItem -Path ".\*.p12" -Recurse | Move-Item -Destination "$cpath" -force
|
||
Get-ChildItem -Path ".\*.key" -Recurse | Move-Item -Destination "$cpath" -force
|
||
Get-ChildItem -Path ".\*.csr" -Recurse | Move-Item -Destination "$cpath" -force
|
||
Get-ChildItem -Path ".\*.crt" -Recurse | Move-Item -Destination "$cpath" -force
|
||
|
||
# Подчищаем за собой
|
||
Remove-Item * -Include *.cnf,*.pem,seria*,inde* -Force
|
||
|
||
# Устанавливаем сертификаты в шиндоус
|
||
&{
|
||
Import-Certificate -FilePath "$cpath\$root.crt" -CertStoreLocation Cert:\LocalMachine\Root
|
||
if ($servint -eq "y"){
|
||
Import-Certificate -FilePath "$cpath\$server.crt" -CertStoreLocation Cert:\LocalMachine\CA
|
||
}else{
|
||
Import-Certificate -FilePath "$cpath\$intermediate.crt" -CertStoreLocation Cert:\LocalMachine\CA
|
||
Import-Certificate -FilePath "$cpath\$server.crt" -CertStoreLocation Cert:\LocalMachine\My
|
||
}
|
||
Import-Certificate -FilePath "$cpath\$client.crt" -CertStoreLocation Cert:\LocalMachine\My
|
||
} >$null
|
||
|
||
Write-Host "Сертификаты установлены." -ForegroundColor Green
|
||
|
||
# Перемещаем скрипт и сертификаты в линупс
|
||
&{
|
||
cd $wpath
|
||
.\WinSCP.exe sftp://${luser}:${lpassword}@${ip}/$dpath/ /upload $lpath\$server.p12 $lpath\$cnf.sh /defaults
|
||
Read-Host "`nКогда WinSCP успешно передаст файлы, нажмите [ENTER]"
|
||
|
||
# Запускаем скрипт удалённо
|
||
echo y | plink -batch $luser@$ip -pw $lpassword "exit" *> $null
|
||
plink -batch $luser@$ip -pw $lpassword "sudo bash /$dpath/$cnf.sh"; Error-Break
|
||
|
||
# Чистим за собой
|
||
plink -batch $luser@$ip -pw $lpassword "sudo rm /$dpath/$cnf.sh"; Error-Break
|
||
plink -batch $luser@$ip -pw $lpassword "history -c"; Error-Break
|
||
} 2>$null
|
||
|
||
Write-Host "IWTM сконфигурирован." -ForegroundColor Green
|
||
|
||
# Записываем данные в DNS
|
||
&{Remove-DnsServerResourceRecord -ZoneName $domain -Name $hostname -RRType A -force} 2> $null
|
||
Add-DnsServerResourceRecordA -Name $hostname -IPv4Address $ip -ZoneName $domain -TimeToLive 01:00:00
|
||
|
||
Write-Host "DNS запись создана.`n" -ForegroundColor Green
|
||
Write-Warning "Перезагрузи NGINX и установи в бразуер сертификат.`n" |